Udnyttet sårbarhed
Use of Hard-coded Cryptographic Key
Issabel Framework, web-frameworket der understøtter Issabel PBX-software, før commit b97dbaf indeholder en hardkodet HS256 JWT-signeringsnøgle i filen pbxapi index.php, der er identisk på tværs af alle installationer, hvilket tillader uauthentificerede fjernangribere at forfalske gyldige bearer-tokens. Angribere kan bruge det forfalsket token til at kalde manager originate-endepunktet med parameteren System-applikation, hvilket får Asterisk til at udføre vilkårlige OS-kommandoer som Asterisk-brugeren. Exploiteringseviden blev først observeret af Shadowserver Foundation den 2026-09-09.
Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.
Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD